優れたペネトレーションテストサービスプロバイダー7選

ペネトレーションテストサービスは、脅威アクターが用いる手口や手法を使って、企業のIT環境に潜む脆弱性を探し出します。

主要なペンテストサービスプロバイダーは、ネットワーク、Webアプリケーション、モバイルアプリケーション、クラウド、さまざまなデバイスを調査し、自社のどこに脆弱性があるのか、またどのように保護すべきかを明らかにします。本ガイドでは、業界をリードするペンテストサービスとその主な機能を紹介します。

ペンテストサービスプロバイダーのおすすめ7社は次のとおりです。

Compass IT Compliance：多様な環境に合わせたペネトレーションテストに最適

BreachLock：包括的なペンテストサービススイートに最適

ScienceSoft：カスタムペネトレーションテストに最適

Raxis：Webアプリケーションセキュリティのペンテストに最適

Software Secured：アプリケーションとコードのセキュリティテストに最適

Astra Security：中小企業に最適

Intruder：Webおよびクラウドのペンテストに最適

ペンテストサービスプロバイダー比較

以下の表では、料金プランや際立った機能を含め、ペネトレーションテストサービスプロバイダーの概要を簡潔にまとめています。

Compass IT Compliance — 多様な環境に合わせたペネトレーションテストに最適

Compass ITに問い合わせる

Pros

• 幅広い認定資格を持つサイバーセキュリティ専門家のチーム
• 一貫性とコンプライアンスのため、OSSTMMおよびNISTのベストプラクティスに準拠
• 複数の環境と業界を横断する包括的な対応範囲
• 固有のビジネスニーズに応じてカスタマイズできるテスト契約
• 技術レベルと経営層向けの詳細なレポート
• 高リスクの脆弱性を即時通知し、迅速な対策を実現

Cons

• 公開料金の透明性なし（個別見積もりが必要）
• テストの所要期間はプロジェクトの複雑さによって異なる場合がある

Compass IT Complianceは、OSSTMMやNISTなど、実績のあるフレームワークに基づく認定専門家主導のペネトレーションテストサービスを提供しています。Compassは、ネットワーク、Webアプリケーション、ワイヤレス、モバイル、クラウド、ソーシャルエンジニアリング、オーダーメイドの評価など、幅広いテストメニューを提供し、IT環境全体の脆弱性を発見・修正します。

分析、スキャン、テスト、レポートから成る体系的な4段階のプロセスにより、一貫性があり実行可能な結果を提供します。金融サービス、医療、高等教育、政府、小売など、さまざまな業界の組織がセキュリティを強化し、コンプライアンス要件を満たすことを支援します。

料金

• 見積もりについて問い合わせ：プロジェクトの範囲とテスト要件に応じたカスタム料金に対応

主な機能

• 認定専門家：OSSTMMおよびNISTの基準に従う、十分な訓練を受けた専門家がペネトレーションテストを実施します。
• 包括的なテスト：ネットワーク、Web、モバイル、クラウド、ワイヤレス、ソーシャルエンジニアリング、オーダーメイドの環境に対応します。
• 体系的なプロセス：分析、スキャン、テスト、レポートから成る4段階のアプローチで、一貫性があり実行可能な結果を提供します。
• 詳細なレポート：技術的な調査結果と経営層向けの概要に加え、優先順位を付けた修正ガイダンスを提供します。

BreachLock — 包括的なペンテストサービススイートに最適

BreachLockに問い合わせる

Pros

• オンプレミス、モバイル、クラウド全体を包括的にカバー
• ハイブリッドアプローチによりコストを削減できる可能性がある
• 拡張性
• AIを活用した自動化
• 使いやすさ
• 脆弱性を360度の視点で把握できる包括的なプラットフォーム

Cons

• より実践的なアプローチや専任のペンテスターを利用すると、費用が高くなる
• 料金の透明性がない

BreachLockは、自動化、AI、認定倫理的ハッカー、クラウドベースのペンテストおよび脆弱性管理プラットフォームを組み合わせ、顧客の監査準備を支援します。BreachLockは、以下を対象とするペネトレーションテスト・アズ・ア・サービス（PTaaS）を提供しています：クラウド、ネットワーク、アプリケーション、API、モバイル、ソーシャルエンジニアリングおよびサードパーティーパートナー向けテストを提供します。SOC 2、PCI DSS、HIPAA、ISO 27001の規制要件への準拠も支援できます。

料金

• 見積もりについて問い合わせ：カスタム料金に対応
• 無料ライブデモ：問い合わせて日程を調整

主な機能

• ソーシャルエンジニアリングテスト：BreachLockの専門家は、従業員のサイバーセキュリティ対応力をテストするため、標的型フィッシングキャンペーンを実施できます。
• 自動スキャンと手動スキャン：特定のシナリオに適した方法に応じて、環境を自動または手動でスキャンできます。
• ワンクリックで脆弱性を再テスト：発見されたすべての問題を顧客が修正すると、BreachLockが再テストを実施し、問題が解決されたことを確認します。
• サービスダッシュボード：顧客は、リスク別に分類された脆弱性や全体的な傾向グラフなど、ペンテスト結果の概要を確認できます。

ScienceSoft — カスタムペネトレーションテストに最適

ScienceSoftに問い合わせる

Pros

• ソフトウェア開発の専門知識がアプリケーションセキュリティテストに知見をもたらす
• 料金は業界平均の下限に近いと見られる

Cons

• 他社のほうがより包括的なペンテストサービスを提供している可能性はありますが、ScienceSoftの顧客は、受けたサービスとその価値に概して満足しています。

ScienceSoftは、アプリケーション、ネットワーク、リモートアクセス、ワイヤレス、オープンソースインテリジェンス（OSINT）、ソーシャルエンジニアリング、レッドチームなど、幅広いペネトレーションテストサービスを提供しています。BreachLockと同様に、ScienceSoftは手動テストと自動テストを組み合わせています。従業員のセキュリティ態勢と意識を調査し、一般従業員、幹部、請負業者の行動のうち、自社を危険にさらすものを特定します。

料金

• カスタム料金に対応：見積もりについて問い合わせ。費用を見積もる料金計算ツールも利用可能

主な機能

• コードレビュー：ScienceSoftは、コードインジェクションの脆弱性、クロスサイトスクリプティングの脆弱性、バッファーオーバーフローをチェックします。
• 脆弱性評価：専門家と自動スキャナーが、ネットワーク、Webアプリケーション、メールサービス、モバイルアプリの脆弱性を分析します。
• コンプライアンス評価：ペンテストに加え、ScienceSoftはHIPAAなどの基準に照らして自社の規制対応状況も評価します。
• インフラ監査：物理的なアクセス制御、既存の構成管理手順、ITのバージョン管理もチェックするテストサービスが含まれます。

Raxis — Webアプリケーションセキュリティのペンテストに最適

Raxisに問い合わせる

Pros

• 包括的なサービス
• 高品質なサービス
• 高い評価

Cons

• 最低価格の選択肢より高額になる可能性がある

Raxisは、ペネトレーションテスト、セキュリティコンサルティング、マネージドセキュリティなど、幅広いサービスを提供するサイバーセキュリティ企業です。Raxisは、レッドチームサービス、ペネトレーションテスト・アズ・ア・サービス（PTaaS）、侵害・攻撃シミュレーション（BAS）、ソーシャルエンジニアリングなど、さまざまなペネトレーションテストおよび脆弱性サービスを提供しています。サービスは、単発、複数年、継続のいずれの形態でも利用できます。

料金

• 見積もりについて問い合わせ：カスタム料金に対応

主な機能

• タイムトラベル：自社の過去の特定期間におけるセキュリティ態勢を確認でき、セキュリティ改善を可視化できます。
• 再テスト：Raxisの調査結果に基づく対策を実施した後、再テストによって実装が成功したかどうかを確認します。
• 自動または手動でのスケジューリング：オンデマンドでペンテストを依頼することも、時間をかけて継続的にスキャンを実施することもできます。
• APIペネトレーションテスト：オンデマンドでのみ利用できるこのサービスは、API呼び出しをスキャンして異常を検出します。

Software Secured — アプリケーションとコードのセキュリティテストに最適

Software Securedに問い合わせる

Pros

• ソフトウェアセキュリティに関する深い理解
• SDLCプロセスとの統合能力
• 高い評価

Cons

• このリストで最も安価な企業ではないが、競合他社より4倍優れた結果を出すと主張している

Software Securedは、手動ペンテスト、単発の包括的なコンプライアンス評価、PTaaSに加え、開発者やエンジニア向けのセキュアコーディングトレーニングまで、幅広いペネトレーションテストサービスを提供しています。

人間のペンテスターを重視しているため、同社はこのリストで最も安価な企業ではありません。それでも、平均を上回る結果とテスト頻度を約束しており、顧客はサービスに満足しているようです。

料金

• Pentest Essentials：5,000ドルから
• Pentest 360：10,000ドルから

主な機能

• 無制限の再テスト：サービス料金を支払った顧客は、四半期または半年ごとのペンテストを受けられ、いつでも再テストを実施できます。
• 拡張セキュリティサービス：Software Securedは、OWASPのベストプラクティスに基づく開発者グループ向けの非公開トレーニングセッションなど、追加サービスを提供しています。
• フレームワークマッピング：Software Securedは、OWASP Top 10、SANS Top 25、NISTなど、5つの主要な業界フレームワークに対応しています。
• ダッシュボード：顧客ポータルには、新たな脆弱性のアラートが表示されます。アラートには深刻度評価と種類に加え、対応が必要な未解決の脆弱性も表示されます。

Astra Security — 中小企業に最適

Astra Securityに問い合わせる

Pros

• AstraのPentestおよびEnterpriseプランでは、エントリーレベルのペンテスト料金で、実質的に無制限のスキャンを無料で利用できる
• 顧客は概してサービスと費用対効果に満足している

Cons

• 高度なセキュリティニーズを持つ企業には不十分かもしれないが、多くの顧客にとっては他の選択肢より手頃な価格で利用できる

Astra Securityは、AWSやMicrosoft Azureを含むWebアプリケーション、モバイルアプリケーション、API、パブリッククラウド環境をテストします。SlackやJiraなどのツールと統合できる脆弱性スキャナーソリューションに加え、年次テスト、コンプライアンスレポート、クラウドセキュリティレビューを備えたペンテストソリューションを提供しています。Astraの料金は複数の競合他社を下回ります。

料金

• Scanner Lite：1ターゲットで年間699ドル
• Scanner：1ターゲットで年間1,999ドル
• Scanner（Agency）：5ターゲットで年間4,999ドル
• API DAST Scanner：年間1,999ドル
• API Security Pro：年間4,999ドル
• Pentest：1ターゲットで年間5,999ドル
• Pentest Plus：2ターゲットで年間9,999ドルから
• Enterprise：カスタム見積もりについて問い合わせ

主な機能

• 脆弱性スキャナー：Astraのスキャナーダッシュボードには、各脆弱性のステータス、CVSS評価、深刻度が表示されます。
• コンプライアンスチェック：Astraのテストは、ISO 27001、HIPAA、SOC2、GDPRの基準への準拠に役立ちます。
• アプリスキャン：プログレッシブWebアプリ（PWA）やシングルページアプリ（SPA）をスキャンすることで、より柔軟なWebサーバー環境のセキュリティ確保に役立ちます。
• 8,000件以上のテスト：Astraは、既知のCVEやOWASP Top 10の脆弱性を対象にインフラをスキャンします。

Intruder — Webおよびクラウドのペンテストに最適

Intruderに問い合わせる

Pros

• ペネトレーションテストの専門知識と、最高水準の脆弱性スキャン製品に関する知識を組み合わせている
• 外部、Webアプリ、クラウドのペンテストに最適と考えられる

Cons

• 料金の透明性に欠け、より安価な競合他社が存在する可能性がある

Intruderは高品質な脆弱性スキャンツールで最もよく知られていますが、同社はペンテストサービスも提供しています。Intruderのペンテストは、Webアプリ、API、クラウド構成を対象とします。企業は、Intruderの専門家が主導する脆弱性管理ソリューションIntruder Vanguardを使って、継続的なペンテストを実施することもできます。

料金

• 見積もりについて問い合わせ：カスタム料金に対応
• 無料トライアル：14日間

主な機能

• APIスキャナー：Intruderは、APIをテストする際にOWASPのガイドラインに従い、インジェクション攻撃の脆弱性や不十分な制御を検出します。
• クラウド構成チェック：ペンテスターがクラウド環境の設定ミスを探し、改善策を提案します。
• 境界チェック：Intruderは、外部ITインフラを調査し、インターネットに露出する可能性を確認します。
• Intruder Vanguard：この脆弱性管理サービスは、継続的なテストを提供します。

脆弱性スキャンとペンテストの違いについては、2つのソリューションを解説したガイドをご覧ください。

ペネトレーションテストサービスの主な機能

ペネトレーションテストサービスは、ITインフラの脆弱性を評価し、正規の攻撃手法に従い、調査結果を報告し、複数の環境をサポートし、侵害後のテストを実施します。

脆弱性評価

ペネトレーションテストサービスは、システムに潜在的な欠陥がないかチェックします。古いソフトウェアや設定ミス、ハッカーに悪用される可能性のあるその他の脆弱性を探します。ペンテストサービスプロバイダーは、脆弱性スキャンソリューションも提供していることがよくあります。

実環境を想定したシミュレーション

ペンテスターは、現実世界のサイバー攻撃や攻撃者を再現し、システムがさまざまなハッキングの試みにどれだけ耐えられるかを判断します。これにより、企業は現在のセキュリティ態勢をより深く理解できます。

レポート

テストの完了後、サービスプロバイダーは詳細なレポートを作成します。レポートには、発見された脆弱性、それらを悪用するために使用された手法、セキュリティに関する提案が含まれます。組織がリスクを認識し、適切な対応を取るには、明確で包括的なレポートが不可欠です。

幅広いシステムへの対応

企業は、オンラインアプリケーション、ネットワーク、モバイルアプリやデバイス、クラウドベースのサービスなど、さまざまな環境を評価するためにペネトレーションテストを利用します。多数のプラットフォームにまたがって運用する現代の組織にとって、幅広いプラットフォームへの対応は不可欠です。

侵害後のテスト

高度なテクノロジーの中には、ハッカーがアクセス権を取得した後にどの程度の被害が発生し得るかをテスターが見積もれるものがあります。これにより、組織はセキュリティ侵害がもたらす潜在的な結果を理解できます。ペンテストサービスでは、テストの結果として適用されたパッチや緩和策の有効性もテストできますし、テストすべきです。

ペンテストサービスプロバイダーの評価方法

このリストでは、複数のペネトレーションテストサービスプロバイダーを分析し、小規模企業、スタートアップ、開発チームから、高度なセキュリティニーズを持つ複雑な大企業まで、幅広いユースケースに対応できるさまざまな選択肢を取り上げました。提供サービス、専門知識、専門分野、料金、費用対効果、顧客からの評価を検討しました。

また、人間によるペンテストが中心ではなく、自動化されたペンテストツールに近いベンダーも検討しました。HexwayとImmuniWebがその好例です。これらはPTaaSの選択肢として優れていますが、ここでは人間によるペンテストサービスに焦点を絞っています。

よくある質問（FAQ）

まとめ：ペネトレーションテストサービスはサイバーセキュリティを強化する

ペネトレーションテストは、IT環境を保護するために極めて重要なサイバーセキュリティ対策です。自社でペンテストを実施する専門知識がない組織にとって、ペネトレーションテストサービスは絶好の機会となります。サイバーセキュリティ防御を実環境に即してテストすることで、データ侵害、金銭的損失、評判の低下を抑えながら、規制への準拠にも役立ちます。ペネトレーションテストは安価ではないかもしれませんが、実施する価値はあります。

組織でペンテストプログラムを立ち上げる方法については、予算策定やチームづくりを含め、詳しく解説しています。